-
-
[求助]严格按照tElock 1.0脱壳教程，遇到个问题
-
发表于: 2009-9-10 10:08
-
tElock 1.0 (private) -> tE!脱壳
fly的教程：
http://bbs.pediy.com/showthread.php?t=1595
我的过程：
附件有我脱壳的dll
fly的教程：
http://bbs.pediy.com/showthread.php?t=1595
我的过程：
1082809D >^\E9 5EDFFFFF jmp 10826000 ; //OD停在此处
108260E2 90 nop
10826D99 90 nop
10826E71 90 nop
1082753A 8BB5 57374000 mov esi, dword ptr [ebp+403757] ; //[ebp+403757]=ss:[1082817B]=00820000 ★ 这个00820000就是重定位表的RVA！
10827540 85F6 test esi, esi
10827542 0F84 8B000000 je 108275D3
10827548 8B95 63374000 mov edx, dword ptr [ebp+403763]
1082754E 03F2 add esi, edx
10827550 2B95 67374000 sub edx, dword ptr [ebp+403767]
10827556 74 7B je short 108275D3 ; //Magic Jump，可以第2次Load后在这里改标志位Z=1，使其跳转 ★
10827558 8BDA mov ebx, edx ; //找到这里！
1082755A C1EB 10 shr ebx, 10
1082755D 8B06 mov eax, dword ptr [esi]
1082755F 85C0 test eax, eax
10827561 74 70 je short 108275D3 ; //重定位处理完毕后这里就跳转
108275D3 8B95 63374000 mov edx, dword ptr [ebp+403763] ; //重定位处理完毕。此时ESI=10820000，★ 就是重定位表的结束地址啦。
//得到重定位表信息：RVA=00820000，大小＝?????? 这个大小是怎么算出来的？我的应该是多少？
108275D9 8BB5 53374000 mov esi, dword ptr [ebp+403753] ; //[ebp+403753]=ss:[10828177]=000086B4 ★ 这就是输入表的RVA啦。
ss:[10828177]=000086B4
esi=10820000 (ix86ver2.10820000)
108275DF 85F6 test esi, esi
108275E1 0F84 2F040000 je 10827A16 ; //第2个Magic Jump，改标志位Z=1，使其跳转，则不加密IAT
当我们修改了以上两个Magic Jump，自108275E1处跳至10827A16
10827A16 8BBD 5B374000 mov edi, dword ptr [ebp+40375B]
10827A1C 85FF test edi, edi
10827A1E EB 03 jmp short 10827A23
现在我们Alt+M打开 内存查看 窗口：
10002DE1 55 push ebp ; //OEP
10002DE2 8BEC mov ebp, esp
10002DE4 53 push ebx
10002DE5 8B5D 08 mov ebx, dword ptr [ebp+8]
附件有我脱壳的dll
|
|
|---|---|
|
|
而且，ImportREC
 谁能帮帮我 |
|
|
怪事，你的DLL一载入，怎么总是停在这里（我的所有OD都是如此，显然在此之前程序已经动执行一部分代码）
而不是OEP处：（因为我用PEid查看是：Entrypoint 0082809D）
而在练习fly的例子时停靠点又是正解的。 
|
|
|
|
|
|
|
